구글 계정은 대부분의 사람들이 하나씩 갖고 있고, 여러 중요한 서비스와 연결되어 있기 때문에 해커들의 주요 표적이 됩니다.
구글 계정에는 도난을 어렵게 만드는 다양한 보안 기능이 기본으로 탑재되어 있습니다. 하지만 이런 기능 대부분은 선택 사항이라, 설정하지 않으면 계정이 무방비 상태로 노출되기 쉽습니다. 그렇다면 해커는 정확히 어떤 방식으로 내 계정에 접근할까요?
해커들은 왜 당신의 구글 계정을 노릴까?
사실 구글 계정 자체에는 큰 가치가 없습니다. 일반인이 몸값을 지불할 일도 없고, 계정이 도난당하더라도 고객센터를 통해 되찾을 수 있는 경우가 많습니다.
그럼에도 해커들이 구글 계정을 노리는 이유는 많은 사람이 지메일(Gmail)을 주 이메일로 사용하기 때문입니다. 즉, 구글 계정 하나만 확보하면 은행 계좌, 전자지갑, 온라인 쇼핑몰 계정까지 접근할 수 있는 열쇠가 되는 것입니다. 이 중 어떤 것 하나만 손에 넣어도 해커 입장에서는 충분히 '노릴 가치'가 있습니다.
구글 계정이 해킹되는 8가지 경로
어떤 사람들은 아예 구글 계정 해킹을 업으로 삼기도 합니다. 구글 서비스가 워낙 널리 쓰이다 보니 잠재적 피해자가 끊이지 않기 때문입니다. 다음은 해커가 당신의 계정을 공격하는 대표적인 8가지 방법입니다.
1. 피싱 이메일
구글 계정을 겨냥한 피싱 이메일은 상당히 정교하게 만들어집니다. 구글에서 보낸 것처럼 보이지만, 링크를 클릭하면 비밀번호를 탈취하는 가짜 웹사이트로 연결됩니다.
피싱 메일을 가장 쉽게 식별하는 방법은 발신자 주소를 확인하는 것입니다. 구글은 항상 google.com으로 끝나는 이메일 주소로만 사용자에게 연락합니다. 또한 이메일 속 링크를 클릭하기보다는, 브라우저에 URL을 직접 입력해 접속하는 습관을 들이는 것이 안전합니다.
2. 자동화된 비밀번호 크래킹
약한 비밀번호를 사용한다면 해커에게 계정을 뚫리기가 특히 쉽습니다. 해커는 자동화 프로그램으로 흔히 쓰이는 비밀번호 변형 조합을 대량으로 시도합니다.
이런 공격은 강력한 비밀번호만으로도 충분히 막을 수 있습니다. 이상적으로는 10자 이상, 영문자·숫자·특수문자를 모두 포함한 비밀번호를 사용하는 것이 좋습니다.
3. 비밀번호 추측
많은 사람이 자신이 좋아하는 것과 관련된 비밀번호를 사용합니다. 반려동물 이름, 좋아하는 밴드 이름 등이 대표적인 예입니다.
해커들도 이 점을 잘 알고 있어서, 비밀번호를 추측하기 전에 먼저 피해자에 대한 정보를 조사하는 경우가 많습니다. 일부 해커는 아예 이 목적으로 사람들에게 질문을 던지기까지 합니다.
기억하기 쉬운 비밀번호를 쓰고 싶다면, 해커가 조사해 알아낼 수 있는 정보는 피해야 합니다. 소셜 미디어 계정에서 누군가 당신에 대해 알아낼 수 있는 정보가 무엇인지 한번 생각해 보세요.
4. 데이터 덤프(유출 데이터베이스)
어떤 웹사이트든 해킹당할 수 있습니다. 해킹당한 사이트의 회원이라면 비밀번호가 유출되어 다크웹 등 온라인에 유포될 가능성이 있습니다.
따라서 구글 계정 비밀번호를 구글 외부에서 사용할 때마다 계정이 위험에 노출됩니다. 구글 계정 비밀번호는 반드시 고유한 것으로 설정해야 하며, 은행 계좌 같은 중요한 계정에도 마찬가지로 고유한 비밀번호를 사용해야 합니다.
5. 키로거(Keylogger)
키로거는 키보드 입력을 몰래 기록하는 악성 소프트웨어입니다. 주로 해커가 비밀번호를 훔치는 데 사용하며, 컴퓨터에 키로거가 설치되어 있다면 구글 계정 비밀번호가 곧바로 표적이 됩니다.
키로거를 피하는 가장 쉬운 방법은 악성 웹사이트 방문을 삼가고, 이메일 첨부파일을 함부로 다운로드하지 않는 것입니다. 신뢰할 수 있는 백신 프로그램을 함께 사용하는 것도 필수입니다.
6. 보조 이메일 계정 해킹
구글 계정에 가입하면 본인 확인용 이메일 주소를 입력하게 됩니다. 이를 통해 비밀번호를 잊었을 때 계정을 복구할 수 있습니다.
문제는 이 기능이 계정을 해킹당할 경로를 하나 더 만든다는 점입니다. 보조 계정을 자주 사용하지 않는다면 보안 설정이 허술할 가능성이 높고, 해커는 이를 역이용해 본계정 대신 보조 계정부터 공략하기도 합니다.
아직이라면 지금 바로 보조 계정에도 강력하고 고유한 비밀번호를 설정하세요. 사실 모든 계정이 그래야 하며, 비밀번호를 외우기 어렵다면 비밀번호 관리자(패스워드 매니저)를 활용해 보세요.
7. 공용 와이파이(Public Wi-Fi)
공용 와이파이는 편리하지만, 핫스팟에 따라 보안이 매우 취약한 경우가 많습니다. 일부 공유기(AP)는 암호화되어 있지 않아 패킷 스니핑(packet sniffing) 기법으로 비밀번호를 훔칠 수 있습니다.
일부 범죄자들은 아예 정보 탈취 전용으로 만든 악성 공유기를 설치해 두기도 합니다.
이런 공격을 피하려면 신뢰할 수 있는 암호화된 공유기만 사용해야 하며, VPN을 사용하면 추가적인 보호 효과를 얻을 수 있습니다.
8. 인증 코드 요청 사기
때로는 해커가 구글 사용자의 계정 자체가 아니라, 피해자 명의로 구글 보이스(Google Voice) 계정을 만들기 위해 접근하기도 합니다. 이렇게 만든 계정은 이후 사이버 범죄에 악용됩니다.
이를 위해 해커는 낯선 사람에게 인증 코드를 달라고 메시지를 보냅니다. 진행 과정은 다음과 같습니다.
- 해커가 피해자의 지메일 주소를 알아냅니다.
- 해커는 피해자에게 신원 확인용 코드를 보내겠다고 말합니다.
- 해커는 그 이메일 주소로 구글 보이스 계정 생성을 시도합니다.
- 피해자는 인증 코드를 받고, 이것이 해커가 보낸 것이라 믿고 약속대로 코드를 보내줍니다.
- 결국 해커는 익명의 구글 보이스 계정을 손에 넣게 됩니다.
해커가 비밀번호를 알아냈더라도 2단계 인증(2FA)이 설정되어 있다면, 비슷한 수법으로 인증 코드를 요청해 계정을 탈취할 수 있습니다.
어떤 종류의 코드든 요구하는 사람은 결코 믿어서는 안 됩니다.
구글 계정 해킹을 예방하는 방법
모든 구글 계정은 2단계 인증(2FA)을 제공합니다. 2FA를 설정하면 해커가 비밀번호를 알아내더라도, 보통 휴대폰인 2FA 기기에 접근하지 못하는 한 계정에 들어올 수 없습니다.
2단계 인증을 설정해 두면 앞서 소개한 대부분의 해킹 기법은 무력화됩니다.
계정이 해킹당하면 어떻게 될까?
구글 계정이 해킹당하면 해커가 입힐 수 있는 피해 규모는 계정에 연결된 서비스에 따라 크게 달라집니다. 하지만 계정을 중요한 용도로 쓰지 않더라도, 본인임을 입증할 때까지는 계정 접근권을 잃게 됩니다.
다행히 해커들은 사람들이 위협을 잘 모른다는 점에 의존해 활동합니다. 해킹이 어떻게 일어나는지 이해하고 나면, 예방하는 일은 생각보다 어렵지 않습니다.